変更要約: SC-100 第5章を新規作成（ドメイン4「アプリとデータのセキュリティ設計」: M365 保護(Microsoft Secure Score/Defender for Office 365/Defender for Cloud Apps(CASB)/Intune/Purview ラベル/DLP)、Copilot for Microsoft 365(権限/ラベル継承/過剰共有/DSPM for AI/Purview Audit)、アプリ保護(脅威モデリング/セキュア開発ライフサイクル/workload identity/API Management/Azure WAF)、データ保護(discovery/分類/保存時・転送時暗号化/CMK/Key Vault/Defender for Storage/Defender for Databases/Azure SQL/Synapse/Cosmos DB/Storage)）。
5.1Microsoft 365 の保護
Microsoft Secure Score による生産性/コラボワークロードの posture 評価、Microsoft Defender for Office 365・Microsoft Defender for Cloud Apps、Microsoft Intune によるデバイス管理、Microsoft Purview による M365 データ保護の設計を理解します。
多くの組織で最も価値の高いデータとユーザー活動は Microsoft 365（メール・Teams・SharePoint・OneDrive）にあります。アーキテクトは生産性ワークロードの posture を測り、メール/SaaS の脅威とデバイスとデータを多層で守ります。
5.1.1Microsoft Secure Score と脅威防御
生産性/コラボの posture は Microsoft Secure Score（Defender XDR の ID/M365 posture スコア）で測り、改善アクションを優先順位付けします。メール/コラボの脅威（フィッシング・マルウェア・なりすまし）は Microsoft Defender for Office 365（Safe Links/Safe Attachments・自動調査）が防御し、SaaS アプリの可視化と制御（シャドー IT 発見・セッション制御・データ制御）は Microsoft Defender for Cloud Apps（CASB）が担います。アーキテクトは「M365 全体の posture と脅威防御をどう積むか」を設計します。
5.1.2Intune によるデバイス管理と Purview によるデータ保護
M365 データにアクセスするデバイスは Microsoft Intune で管理し、準拠ポリシー（暗号化・パッチ・PIN 等）を満たさない端末を Conditional Access でブロックします（モバイルは アプリ保護ポリシー で BYOD のアプリ単位の保護も可能）。M365 内のデータ自体は Microsoft Purview の 情報保護（秘密度ラベル） と DLP で分類/暗号化/持ち出し制御します。アーキテクトは「準拠端末からのみアクセス（Intune＋CA）」と「データに追従する保護（Purview ラベル/DLP）」を組み合わせ、デバイスとデータの両面を固めます。
決め手：「M365/ID の posture スコア」＝Microsoft Secure Score。「メール/コラボの脅威（フィッシング/添付）」＝Defender for Office 365。「SaaS アプリの可視化/制御・シャドー IT」＝Defender for Cloud Apps（CASB）。「デバイス準拠管理」＝Intune（＋CA でブロック）。「M365 データのラベル/暗号化/DLP」＝Purview。
混同に注意：
①Microsoft Secure Score（ID/M365 posture）と Defender for Cloud の Secure Score（インフラ posture）を取り違えない。
②Defender for Office 365（メール/コラボ）と Defender for Cloud Apps（SaaS の CASB）は別物。
③デバイス管理（Intune）とデータ保護（Purview）は別レイヤ＝両方要る。
5.1.3この節のまとめ
- M365 posture＝Microsoft Secure Score。メール/コラボ脅威＝Defender for Office 365、SaaS 可視化/制御＝Defender for Cloud Apps(CASB)
- デバイス＝Intune（準拠＋CA でブロック）。M365 データ＝Purview の秘密度ラベル/DLP で分類/暗号化/持ち出し制御
- デバイス保護とデータ保護は別レイヤ＝両方を組み合わせて固める
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. メールのフィッシングや悪意ある添付・URL から M365 ユーザーを保護したい。最適なのはどれですか？
Q2. 従業員が使う SaaS アプリ（シャドー IT 含む）を可視化し、セッションやデータの制御を行いたい。最適なのはどれですか？
Q3. 暗号化や PIN などの準拠要件を満たさないデバイスから M365 へのアクセスをブロックしたい。最適な組み合わせはどれですか？
Q4. M365 内の機密文書に、保存先を問わず追従する分類・暗号化・持ち出し制御を適用したい。最適なのはどれですか？
Q5. 生産性/コラボワークロード（M365/ID）の posture を測り改善を優先順位付けする指標はどれですか？